CVE-2025-9607
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
W Portabilis i-Educar do wersji 2.10 wykryto podatność w pliku /module/TabelaArredondamento/view (strona Tabelas de Arredondamento). Manipulacja argumentem ID umożliwia wstrzyknięcie SQL, a atak można przeprowadzić zdalnie. Exploit został opublikowany i może być wykorzystany.
Ocena ryzyka
Możliwe jest zdalne wykonanie zapytań SQL przez atakującego, co zagraża poufności i integralności danych. Publiczna dostępność exploitu podnosi ryzyko.
Rekomendacja
Zaktualizuj i-Educar do wersji nowszej niż 2.10 lub zastosuj poprawkę producenta; do czasu aktualizacji ogranicz dostęp do modułu i waliduj parametr ID.
Inne podatności w Portabilis i-Educar
Zobacz wszystkie- CVE-2026-2015Średnie
Wykryto podatność w Portabilis i-Educar do wersji 2.10. Dotyczy ona nieznanej funkcji w pliku FinalStatusImportService.php w komponencie Final Status Import. Manipulacja argumentem school_id prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Aktualizacja do wersji 2.11.0 rozwiązuje problem.
- CVE-2025-11554Średnie
W Portabilis i-Educar do wersji 2.9.10 wykryto podatność w nieznanej funkcjonalności pliku app/Http/Controllers/AccessLevelController.php w komponencie User Type Handler. Manipulacja prowadzi do niebezpiecznych odziedziczonych uprawnień. Atak może być zainicjowany zdalnie, a exploit został publicznie ujawniony i może być użyty.
- CVE-2025-11050Średnie
W systemie Portabilis i-Educar do wersji 2.10 wykryto lukę w pliku /periodo-lancamento. Manipulacja może prowadzić do nieprawidłowej autoryzacji. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-11049Średnie
W systemie Portabilis i-Educar do wersji 2.10 wykryto podatność w pliku /unificacao-aluno. Manipulacja prowadzi do nieprawidłowej autoryzacji. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2025-11048Średnie
W systemie Portabilis i-Educar do wersji 2.10 wykryto podatność w pliku /consulta-dispensas. Manipulacja prowadzi do nieprawidłowej autoryzacji. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-11047Średnie
W systemie Portabilis i-Educar do wersji 2.10 wykryto słabość w pliku /module/Api/aluno. Manipulacja argumentem aluno_id prowadzi do nieprawidłowej autoryzacji. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2025-10846Średnie
Podatność w Portabilis i-Educar do wersji 2.10 dotyczy nieznanego kodu w pliku /module/ComponenteCurricular/edit. Manipulacja argumentem ID powoduje wstrzyknięcie SQL. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2025-10845Średnie
Podatność w Portabilis i-Educar do wersji 2.10 dotyczy nieznanej części pliku /module/ComponenteCurricular/view. Manipulacja argumentem ID powoduje wstrzyknięcie SQL. Atak może być wykonany zdalnie. Exploit został upubliczniony i może być użyty.
- CVE-2025-10608Średnie
Wykryto podatność w Portabilis i-Educar do wersji 2.10. Nieznana funkcja w pliku /enrollment-history/ ma nieprawidłowe kontrole dostępu. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
- CVE-2025-10605Średnie
W Portabilis i-Educar do wersji 2.10 wykryto lukę bezpieczeństwa w pliku /agenda_preferencias.php. Manipulacja argumentem tipoacao prowadzi do cross-site scripting (XSS), a atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in Portabilis i-Educar up to 2.10. Affected by this issue is some unknown functionality of the file /module/TabelaArredondamento/view of the component Tabelas de Arredondamento Page. Executing manipulation of the argument ID can lead to sql injection. The attack may be launched remotely. The exploit has been published and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS